El Checklist RGPD skill para Claude

El problema que resuelve la skill no es que los empresarios no conozcan el RGPD. Es que no saben qué tratan. Pregunta al dueño de una empresa de instalaciones qué datos personales circulan en su empresa y la respuesta suele ser: nombres y direcciones de clientes, creo. Sigue preguntando y se convierten en veinte: las fotos de cuadros eléctricos en un grupo de WhatsApp, la lista de planificación en el móvil del encargado, las cartas de candidatura en una carpeta de correo, las exportaciones en la carpeta Descargas de un portátil que ya nadie usa. Sin ese panorama, cualquier checklist es una adivinanza, y por eso esta skill no empieza por la ley sino por el inventario.

Lo que recibes es, a propósito, no un documento con sellos. Es un resumen de siete bloques donde por cada elemento se indica qué contaste tu mismo, qué ha deducido sin añadir hechos, qué sigue desconocido y qué código de estado le corresponde. Cinco códigos: en orden, incompleto, falta, desconocido y a un jurista. Desconocido es un resultado válido y la skill nunca lo disimula. Suena a detalle, pero es exactamente donde puede fallar un checklist: marcan una casilla porque se ha rellenado algo, no porque se haya resuelto algo.

La skill es útil para cualquiera con una empresa y sin departamento de privacidad. El autónomo al que un cliente le pregunta si cumple el RGPD. La pyme de quince personas que desde hace dos años tiene tienda online y nunca ha pensado en todo lo que hay ahí dentro. La agencia que trata datos de clientes de sus clientes y no sabe si es encargada o responsable del tratamiento. Forma parte de la biblioteca de skills NL que ofrecemos gratis desde el servicio IA y automatización, sin cuenta y sin correo comercial después.

Algo se dice de inmediato en el archivo, y aquí lo resumimos: esto no es asesoramiento legal y la skill no dice en ningún momento si algo es lícito. Ante un incidente en curso, una carta de la autoridad de control, una queja de un cliente o empleado o un litigio, deja de seguir el checklist y remite de inmediato al equipo responsable o a un asesor cualificado en privacidad, con las instrucciones de la autoridad pertinente. La autoridad neerlandesa es la Autoridad neerlandesa de Protección de Datos (Autoriteit Persoonsgegevens). Eso no convierte a la AP en competente para cualquier usuario ni suspende los deberes aplicables mientras se pide asesoramiento. El contexto sigue siendo el RGPD de la UE y los Países Bajos, no el derecho español por el idioma. Esa delimitación no aparece en la letra pequeña al final, aparece al principio, en los casos en los que la skill no debe empezar, y aparece en cada resultado que entrega.

Las casillas hablan de documentos, no de datos. Una política de privacidad, un aviso de cookies y un contrato de encargo de tratamiento son el lado visible. El lado invisible es el archivo de exportación con datos de clientes que alguien envió el año pasado a su correo personal. Por eso esta skill empieza en los bloques 1 al 4, es decir, en los datos mismos, y solo después en el papeleo.

El checklist se rellena solo. Un resumen RGPD de una tienda online se parece a cualquier otro resumen RGPD de una tienda online, y por eso un modelo de lenguaje es peligroso aquí: sabe qué suele haber y lo rellena. El archivo llama a eso el error que ocurre más rápido, y el autocontrol tiene una comprobación propia para ello. Todo lo que el usuario no dijo, se elimina o se convierte en pregunta.

Sale un veredicto que esta skill no está cualificada para dar. En el momento en que una herramienta dice que cumples, se ha convertido en un veredicto legal. Eso se rechaza en ambas direcciones: no dice que algo esté permitido, y tampoco que algo esté mal. Describe lo que contaste, pone al lado un resumen jurídico con fuente y límites, y convierte el resto en una pregunta para un abogado. Tranquilizar también es un veredicto, y el autocontrol lo elimina con la misma firmeza.

Aparecen plazos que no vienen de ninguna parte. Es un riesgo de los textos sobre RGPD que un modelo de IA puede reproducir. El RGPD casi no menciona plazos de conservación concretos: el artículo 5, apartado 1, letra e, solo dice que no conservas más tiempo del necesario para la finalidad. Los plazos legales específicos pueden proceder de otras leyes, incluida la regla de siete años para determinados registros del artículo 52 de la Algemene wet inzake rijksbelastingen, la ley general tributaria neerlandesa. No es una fecha universal de eliminación. Una política vinculada a la finalidad también necesita justificación. La skill distingue ley, práctica comunicada y cuestiones de política; no inventa ni aprueba plazos.

No sale ningún primer paso. Cincuenta recomendaciones son tan útiles como cero. Por eso sale un único siguiente paso, con quién lo hace y qué queda resuelto cuando está listo, y el resto se convierte en una lista de preguntas para el abogado. Así sabes qué resuelves tu mismo y por qué pagas. Eso se nota en la factura del abogado, porque buscar lo haces tu y decidir lo hace él.

En formato diff, con una ilustración redactada del autocontrol previsto, no comportamiento medido de un modelo: el veredicto fuera, la descripción con la pregunta dentro.

Después viene el núcleo: nueve acciones fijas. Primero se determina si esto es un inventario o un incidente, porque ante algo que está ocurriendo ahora, el checklist se detiene.

Pregunta por el contexto. Recorre los siete bloques con tres a cinco preguntas por bloque, en porciones pequeñas en vez de una lista de treinta líneas. Anota por cada respuesta si fue comunicada, deducida sin añadir hechos o sigue desconocida. Pone un código de estado por elemento. Añade un resumen del RGPD con fuente, con artículo, y lo que precisamente no dice. Concreta el siguiente paso. Los límites siguen en el apartado 7, aunque pidas omitirlos, y el autocontrol va después, en el apartado 8.

Antes de rellenar los bloques, la skill repasa una checklist de entrada obligatoria de ocho puntos: a qué se dedica la empresa y cuánta gente trabaja ahí, quiénes son los interesados, qué tipos de datos circulan, qué sistemas y herramientas se usan, incluidos los teléfonos sueltos y las carpetas de papel, qué partes tratan datos por encargo, si hay datos que salen del Espacio Económico Europeo, qué documentos existen ya, y si alguna vez algo ha ido mal. En ese último punto está la derivación: si es algo que ocurre ahora, el checklist no sigue adelante. Una línea de esa checklist llama la atención y es típica de este tema: no pedir datos personales reales. Basta con categorías, y una lista de clientes entregada no la usa la skill.

El resultado tiene una estructura fija de ocho bloques. Un recuadro con empresa, fecha y cuántos de los siete códigos quedan en desconocido. Los siete bloques con el origen y el código de estado por línea. Lo que está en orden, y ese bloque puede quedar vacío. Lo que falta o es desconocido, ordenado según de cuántas otras respuestas depende y explícitamente no por riesgo, porque esta skill no evalúa el riesgo jurídico; el responsable o equipo de incidentes conserva su propia evaluación exigible. El siguiente paso. Cinco a diez preguntas para tu abogado, formuladas tal cual, con los datos de la conversación incluidos. El límite de este resumen. Y por último un bloque con lo que ha ajustado el autocontrol.

Ese bloque con preguntas para el abogado es donde la skill vale lo que cuesta, aunque no cueste nada. En el ejemplo del archivo incluye ocho, entre ellas: ¿es nuestra gestoría, para la gestión de nóminas, un encargado de tratamiento o un responsable independiente?, y ¿caemos bajo la obligación de registro del artículo 30 o bajo la excepción del apartado 5? Son preguntas con las que un abogado puede ponerse a trabajar de inmediato, y con las que un empresario solo se queda atascado porque la respuesta depende de las circunstancias.

El archivo incluye además dos ejemplos completos con entrada y salida completa, un capítulo con reglas de escritura, las once cosas que la skill nunca hace, una lista de momentos en los que necesitas un abogado o la Autoridad de Protección de Datos, y una lista de fuentes con cuatro fuentes principales más dos leyes que aparecen junto al RGPD. Si quieres aprender a montar tu propio archivo de instrucciones así, el método está en cómo escribir un SKILL.md NL.

Las bases legales están en el artículo 6, apartado 1. Seis en total: consentimiento, ejecución de un contrato, obligación legal, interés vital, interés público o poder público, e interés legítimo. Lo que ahí no aparece es qué base encaja con tu boletín, tu videovigilancia o tu cartera de clientes. Por eso se anota qué base crees usar, y no se confirma. Con el interés legítimo, el elemento va por defecto al abogado, porque es la base sobre la que en la práctica hay más discusión.

El registro de actividades de tratamiento está en el artículo 30, con una excepción en el apartado 5. Esa excepción vale para organizaciones con menos de 250 empleados, salvo que el tratamiento pueda suponer un riesgo para los derechos y libertades de los interesados, el tratamiento no sea ocasional, o se trate de categorías especiales de datos personales o de datos del artículo 10 sobre condenas e infracciones penales. Esas excepciones se añaden siempre, sin concluir si tu empresa entra en ellas. Es exactamente el tipo de pregunta que llevas al abogado, y el resumen que haces con la skill contiene la mayor parte de lo que él querrá saber entonces.

El contrato de encargo de tratamiento está en el artículo 28. La relación con un encargado se fija en un contrato u otro acto jurídico, y el artículo enumera lo que debe quedar regulado ahí. El apartado 9 incluye la forma electrónica escrita; la relación real determina la función, no el nombre del proveedor. Lo que no dice es si una parte concreta es, en tu caso, encargada de tratamiento. Con una gestoría esa respuesta no siempre es la misma, y la skill no se posiciona ahí.

La notificación de brechas de datos está en el artículo 33. Una violación de seguridad se notifica sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener conocimiento de ella, a la autoridad de control, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas. El apartado 5 de ese mismo artículo dice que documentas cada violación, también las no notificadas. El artículo 34 trata de informar sin dilación indebida a los interesados cuando sea probable un riesgo alto, con sus excepciones. El responsable conserva la responsabilidad; el encargado le informa sin dilación indebida. No esperes a un asesor si eso retrasa un deber aplicable. Esas palabras probable y riesgo son exactamente la razón por la que la skill no hace esa valoración: es un veredicto legal sobre una situación concreta.

Dos cosas que a menudo se confunden y que el archivo mantiene separadas. Los plazos de conservación casi nunca vienen del RGPD: el artículo 5, apartado 1, letra e, solo menciona el principio de limitación del plazo de conservación, y los plazos legales específicos pueden venir de otras leyes, incluido el artículo 52 de la Algemene wet inzake rijksbelastingen, la ley general tributaria neerlandesa. Siete años no es una fecha universal de eliminación; también importan la finalidad y una política justificada. Y las cookies están reguladas en los Países Bajos en el artículo 11.7a de la Telecommunicatiewet, la ley de telecomunicaciones neerlandesa, con el RGPD aplicable además cuando se tratan datos personales. Por eso puede mencionar las cookies como tema aparte, pero no evalúa un banner de cookies. Quien quiera revisar su web en ese punto, mejor con un especialista en WordPress que conozca la técnica detrás, y después aún con un abogado para el veredicto.

Después el uso es sencillo: cuenta a qué se dedica tu empresa, cuánta gente trabaja y qué herramientas usas. Ella misma pregunta lo que falta, bloque por bloque, y no pide datos reales de clientes. Cuánto dura esa conversación depende sobre todo de cuánto tengas ya a mano: en cuanto tengas que buscar dónde están las cosas, se alarga. Por cierto, esa búsqueda no es tiempo perdido sino el objetivo del ejercicio. Si te atascas al instalar, el plan de pasos completo por entorno está en instalar skills de Claude NL, y la explicación más amplia sobre trabajar con IA la encuentras en la base de conocimiento.

También hay situaciones en las que es mejor no usártela, y el archivo es breve sobre esto. No ante un incidente que está ocurriendo ahora: entonces contactas de inmediato con el equipo responsable o asesor cualificado y consultas la autoridad competente, sin posponer los deberes aplicables, y eso es lo primero que dice también la skill. No ante una carta del supervisor o una queja de un cliente o empleado. No para que te confirme que algo está permitido. Y no si esperas un documento que puedas enseñar a un cliente como prueba de que todo está resuelto, porque ese documento no lo hace y esa afirmación no la hace.

Otro límite honesto, y ese vale para cualquier skill: esto es un modelo de lenguaje con una instrucción, no un sistema que examina tu empresa. No ve tus sistemas, no puede comprobar si lo que dices es cierto, y no sabe qué hay en tu correo. Todo lo que entrega se apoya en tus respuestas. Eso no es una carencia de este archivo sino la naturaleza de la herramienta, y por eso la skill lo repite en cada resumen.

Lo que sí funciona bien es combinarla con un par de otras skills de la misma biblioteca. El Analista Pre-mortem te hace pensar de antemano en qué puede salir mal antes de que salga mal, y esa es exactamente la conversación que corresponde al bloque 7. El Analista Red Team NL ataca tus propias suposiciones, por ejemplo la suposición de que solo tu puedes acceder al correo compartido. Y el Coach de Estructura de Problemas MECE NL es la comprobación de integridad para quien quiere estar seguro de que ninguna categoría de datos ha quedado fuera del panorama.

Si después pones a la IA a trabajar en algo donde entran datos personales, quieres saber de antemano qué pasa con ellos. Lo que acordamos y lo que no prometemos está en la política de IA, y lo que hacemos público sobre nuestro propio uso de IA está en la transparencia sobre IA. Si quieres que tu equipo trabaje con IA sin que acaben datos donde no deben, eso corresponde a las formaciones de IA.